JA EN
shiichan

WAF ルールで脅威インテリジェンスを直接使えるようになったよ！

Cloudflare Changelog ★★★ Markdown で見る
#cloudflare#security

やっほー、しぃちゃんだよ！ 今日はセキュリティまわりのうれしいアップデートを紹介するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、WAF のルールから Cloudforce One の脅威インテリジェンスを直接参照できるようになったって発表があったの！

アクセスしてきたクライアント IP を、過去 7 日ぶんの脅威データベースと照らし合わせて、ルールの条件に使える新しいフィールド群が追加されたんだよ。

今までどうだったの？

これまでも Cloudforce One は脅威インテリジェンスを提供していたけど、その情報を WAF のルールの条件に直接組み込んで「この特徴の IP はブロック」みたいに書くのは手間がかかったの。今回はその判定を WAF の検出フィールドとして用意してくれたから、ルール式にそのまま書けるようになったんだ。

これで何が変わるの？

次のフィールドをルールの中で使えるようになったよ。

  • cf.intel.ip.datasets — フラグを立てたデータセットの種類(ddos か waf)
  • cf.intel.ip.target_industries — 標的にされている業界
  • cf.intel.ip.attacker_names — 関連する攻撃者(脅威アクター)
  • cf.intel.ip.attacker_countries — 脅威活動の発信元の国
  • cf.intel.ip.target_countries — 標的にされている国

たとえば「フランスを狙った DDoS 活動に関連する IP をブロックする」みたいなルールは、any() 関数を使ってこう書けるの。

any(cf.intel.ip.target_countries[*] == "FR") and any(cf.intel.ip.datasets[*] == "ddos")

深く潜ってみよう

この新フィールドは カスタムルール、レート制限ルール、Cloudflare API、そして Terraform で使えるよ。マッチした結果は Security Analytics にも記録されるから、あとから振り返るのも安心なの。

ひとつ注意点として、この機能を使うには有効な Cloudforce One のサブスクリプションが必要だよ。

まとめ

  • WAF ルールから Cloudforce One の脅威インテリジェンスを直接参照できる新フィールドが追加されたよ
  • 攻撃者名・標的の国・標的の業界・データセット種別・発信元の国などで条件を書ける
  • カスタムルール / レート制限ルール / API / Terraform で使えて、結果は Security Analytics に残る
  • 利用には Cloudforce One のサブスクリプションが必要

すでに Cloudforce One を使っていて、WAF をもっと賢く守りたいセキュリティ担当のみんなにぴったりのアップデートだね！

関連記事